Una contraseña sigue siendo la cerradura de la mayoría de tus cuentas, y la mayoría de las personas la eligen mal. Los problemas rara vez son dramáticos: suelen ser una contraseña reutilizada en diez sitios, una corta con un “1!” al final o una que resulta fácil de adivinar.
Esta página explica cómo se roban o adivinan las contraseñas, qué hace que una sea segura, cuándo cambiarla y dónde guardarlas todas. No cubre en profundidad la autenticación de dos factores ni las llaves de acceso, pero menciona dónde encajan.
Lo que protege una contraseña y cómo falla
Una contraseña demuestra que eres tú. Falla de tres maneras comunes.
La primera es la reutilización. Cuando un servicio sufre una brecha de seguridad y tu correo electrónico y contraseña se filtran, los atacantes prueban ese par en otros sitios. Esto se conoce como credential stuffing (relleno de credenciales). En el estudio sobre el secuestro de cuentas realizado por Google junto con la Universidad de Nueva York y la Universidad de California en San Diego, la mayoría de los ataques procedían de bots automatizados que utilizaban contraseñas expuestas en filtraciones de otros sitios. Una contraseña segura no ayuda si es la misma que ya se filtró.
La segunda es la adivinación. Si un servicio almacena mal las contraseñas y sufre una brecha de datos, los atacantes pueden probar suposiciones a gran velocidad contra los datos robados. Las contraseñas cortas y predecibles caen primero.
La tercera es engañarte para que la entregues. Los sitios de phishing y las llamadas falsas recopilan las contraseñas directamente, por muy seguras que sean. La CISA, la agencia de ciberseguridad de EE. UU., describe las contraseñas débiles como la forma más común en que los delincuentes en línea acceden a las cuentas.
Una contraseña para cada cuenta
La reutilización convierte una sola filtración en muchas. Una brecha en un foro pequeño que habías olvidado les da a los atacantes una contraseña que también podría abrir tu correo electrónico.
La gente lo sabe y aun así lo hace. En la encuesta de NordPass de 2025, el 62% de los estadounidenses dijo que a menudo o siempre reutiliza una contraseña. NordPass vende gestores de contraseñas, así que toma la cifra como indicativa. La razón es evidente: nadie puede memorizar docenas de contraseñas diferentes. Ese es el trabajo de un gestor de contraseñas, un tema que se aborda más adelante.
La longitud y el carácter aleatorio superan a la complejidad
Durante años, los servicios exigían una letra mayúscula, un número y un símbolo. La gente respondió con patrones predecibles como Password1!. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) sostiene que reglas como estas permiten contraseñas malas como “pa55word”. El organismo de estándares de EE. UU., el NIST, ha tomado el mismo camino. Su guía SP 800-63B-4, finalizada en agosto de 2025, prohíbe las reglas de composición obligatorias, establece un mínimo de 15 caracteres cuando la contraseña es el único paso de inicio de sesión y pide a los servicios que acepten al menos 64 caracteres.
Hay dos tipos de contraseñas que funcionan bien, dependiendo de si tienes que escribirlas a mano.
| Tipo | Ideal para | Notas |
|---|---|---|
| Caracteres aleatorios de un generador | Cuentas en las que nunca escribes la contraseña a mano | La CISA sugiere al menos 16 caracteres |
| Frase de contraseña aleatoria de seis o más palabras | La contraseña maestra de un gestor, desbloqueo de dispositivos | La EFF señala que seis palabras aportan unos 77 bits de entropía |
| Tres palabras aleatorias | Contraseñas que debes recordar y no puedes almacenar | El NCSC afirma que es utilizable pero no perfecto, y que añadir más palabras aporta mayor seguridad |
Caracteres aleatorios
Si un gestor de contraseñas crea y completa la contraseña, esta puede ser larga e ilegible. La guía de la CISA recomienda al menos 16 caracteres y afirma que una cadena aleatoria de letras, números y símbolos es la opción más segura. Algunos servicios limitan la longitud o prohíben ciertos caracteres, por lo que debes usar la máxima longitud que permita el servicio.
Frases de contraseña
Una frase de contraseña se compone de varias palabras unidas. Puedes recordarla y es larga. El método recomendado por la Electronic Frontier Foundation (EFF) es un enfoque basado en dados llamado Diceware. Tiras cinco dados para elegir cada palabra de una lista de 7.776 palabras. Para la mayoría de los usos, la EFF recomienda seis palabras.
La seguridad aquí se mide en entropía, una medida de lo impredecible que es algo. Cada palabra de esa lista añade unos 12,9 bits. Cada palabra extra multiplica el número de frases de contraseña posibles por 7.776, y seis palabras alcanzan unos 77 bits. Las palabras deben elegirse al azar. Si las eliges tú mismo, seleccionarás combinaciones predecibles, razón por la cual una herramienta o unos dados reales deberían hacer la selección. Un ejemplo de este estilo, solo con fines ilustrativos y que nunca debe usarse, sería pencil sunset glacier bargain violet ribbon.
El NCSC ha aconsejado “tres palabras aleatorias” desde 2016 para las personas que no usan un gestor de contraseñas. Afirma que es más fácil de recordar, tiende a ser más larga que una contraseña corta compleja y es más difícil de adivinar que una basada en reglas. El NCSC admite que no es perfectamente seguro, porque la gente puede elegir palabras predecibles, y que usar más palabras ofrece mayor seguridad.
Para la contraseña maestra de un gestor, Privacy Guides recomienda al menos siete palabras, lo que da unos 90 bits. El razonamiento es que esta contraseña protege todo lo demás.
Evita la rotación periódica a menos que haya un motivo
Los cambios forzados de contraseña cada 90 días han caído en desuso. El NIST afirma ahora que los servicios no deberían exigir cambios periódicos, sino solicitar uno solo cuando haya pruebas de vulneración. La razón es que los cambios frecuentes empujan a las personas a hacer pequeñas modificaciones predecibles.
Privacy Guides hace una observación relacionada sobre las contraseñas que debes recordar: cambiar tu contraseña maestra con frecuencia solo aumenta el riesgo de que la olvides. Para las contraseñas almacenadas en un gestor, sugiere que las personas con un mayor nivel de riesgo pueden querer rotar las cuentas importantes que carezcan de autenticación de dos factores. Esa es una decisión personal que depende de tu modelo de amenazas.
El detonante útil para un cambio es la exposición. Have I Been Pwned te permite comprobar si una dirección de correo electrónico aparece en filtraciones conocidas, y su servicio Pwned Passwords te permite verificar una contraseña sin enviarla. La comprobación envía solo los primeros cinco caracteres del hash de la contraseña, por lo que el servicio nunca conoce la contraseña completa. Que una contraseña no esté en la lista no significa necesariamente que sea segura, y una que sí aparezca debe reemplazarse en todos los lugares donde la hayas usado.
Dónde guardar tus contraseñas
La CISA afirma que generar y recordar contraseñas largas, aleatorias y únicas para cada cuenta no es posible para la mayoría de las personas, y recomienda usar un gestor de contraseñas. Un gestor crea, almacena y rellena las contraseñas, y muchos te advierten sobre las que son débiles o reutilizadas. Tú recuerdas una sola contraseña segura, la contraseña maestra, y el gestor se encarga del resto. El NCSC también prefiere los gestores y propone el método de tres palabras aleatorias para quienes no usan uno.
Los gestores no están exentos de riesgos. En 2022, unos atacantes que primero comprometieron la cuenta de un desarrollador accedieron más tarde al almacenamiento de respaldo en la nube de LastPass y copiaron datos de las bóvedas de los clientes. Los accesos guardados estaban cifrados con claves derivadas de la contraseña maestra de cada usuario, pero las direcciones web no estaban cifradas. Los analistas de seguridad señalaron que LastPass había aumentado el mínimo de su contraseña maestra a 12 caracteres solo en 2018, y que las cuentas más antiguas no fueron obligadas a actualizarse. LastPass afirmó que seguir sus prácticas recomendadas hace que un ataque de fuerza bruta sea extremadamente difícil. Cambiar una contraseña maestra después del incidente no revierte el hecho de que una bóveda ya haya sido copiada.
La lección no es evitar los gestores, sino entender que la contraseña maestra tiene un gran peso, por lo que debes hacerla larga, aleatoria y no usarla en ningún otro lugar. Privacy Guides también aconseja guardar una copia de seguridad cifrada de tus contraseñas en más de un dispositivo o proveedor, para que perder un teléfono no te deje sin acceso a todo.
Lo que las contraseñas no pueden hacer
Una contraseña perfecta sigue fallando ante el phishing, porque la entregas tú mismo. Un segundo paso de inicio de sesión añade protección si una contraseña se filtra. Una llave de acceso (passkey), un inicio de sesión basado en claves criptográficas, está diseñada para resistir el phishing y elimina la contraseña por completo. En creación de cuentas se explica cómo funcionan las llaves de acceso y cuándo usarlas. Debido a que la contraseña maestra de un gestor de contraseñas es la única que no puedes reemplazar con el propio gestor, vale la pena activar todas las protecciones adicionales que este ofrezca.
Por dónde empezar
Estos pasos van de los más a los menos útiles.
- Comienza con tu cuenta de correo electrónico, ya que otros servicios la usan para restablecer contraseñas. Dale una contraseña larga, aleatoria y única.
- Elige un gestor de contraseñas y úsalo para generar una contraseña diferente para cada una de tus otras cuentas, comenzando por la banca y cualquier cuenta que guarde dinero o identidad.
- Haz que la contraseña maestra del gestor sea una frase de contraseña aleatoria de seis o más palabras. Anótala en un lugar seguro hasta que te la sepas de memoria.
- Activa un segundo paso de inicio de sesión para el correo electrónico, el gestor de contraseñas y tu banco.
- Reemplaza cualquier contraseña que haya aparecido en una filtración y en todos los lugares donde la hayas reutilizado.
El esfuerzo que merece cada paso depende de lo que proteja cada cuenta. El modelado de amenazas te ayuda a decidirlo, y las amenazas comunes te muestran a qué es más probable que te enfrentes.
Fuentes
- Introduction to Passwords, Privacy Guides, 2025.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- Use Strong Passwords, Cybersecurity and Infrastructure Security Agency, consultado en octubre de 2026.
- Secure Our World Passwords Tip Sheet, CISA (alojado por Mass.gov), 2023.
- Stop reusing passwords, NordPass, 2025.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, Instituto Nacional de Estándares y Tecnología, 2025.
- NIST 800-63B Rev 4: What’s New in Password Security, Enzoic, 2025.
- NIST-SP800-63B-4: Deciphering the New Password Security Standard, Nat Sakimura, 2025.
- Using three random words is safer than using complex passwords, NCSC says, Computing, 2021 (informando sobre las directrices del NCSC).
- Want a strong password? You’re probably still doing it the wrong way, HKCERT, 2022 (informando sobre las directrices del NCSC).
- EFF’s New Wordlists for Random Passphrases, Electronic Frontier Foundation, 2016.
- Validating Leaked Passwords with k-Anonymity, Cloudflare, 2018.
- Go client for the Pwned Passwords API, documentación del paquete, consultado en octubre de 2026.
- Get Breach Notifications, Have I Been Pwned, consultado en octubre de 2026.
- LastPass Shares Details of Security Breach, TidBITS, 2022.
- LostPass: after the LastPass hack, here’s what you need to know, Graham Cluley, 2022.
- What Has Happened?, blog de ciberseguridad de la Universidad de Nueva Inglaterra, 2023 (citando la declaración de LastPass).